Una falla en ACryptoS drena US$ 665 mil y pone fin al protocolo
📋 Resumen
Una falla en las bóvedas de liquidez concentrada de ACryptoS permitió que 135 direcciones retiraran alrededor de US$ 665 mil en cinco redes. El protocolo bloqueó los nuevos depósitos, mantuvo abiertos los retiros y anunció que dejará de operar. Los usuarios que aún estén expuestos deben retirar los fondos directamente a través de los canales oficiales.
ACryptoS anunció el cierre de sus operaciones después de que una falla en las bóvedas de liquidez concentrada permitiera retirar aproximadamente US$ 665 mil. El ataque afectó a 77 de las 126 bóvedas distribuidas entre Arbitrum, BNB Chain, Polygon, Base y Optimism durante el 8 de noviembre.
Según el análisis post mortem publicado por la propia ACryptoS, todas las bóvedas afectadas comenzaron a rechazar nuevos depósitos a las 16:40 UTC. Los retiros siguen disponibles, pero el equipo afirmó que no tiene intención de corregir el problema ni volver a abrir el producto. La recomendación oficial es que los usuarios retiren los activos restantes.
La falla permitió crear demasiadas acciones de las bóvedas
El problema estaba en la función depositMulti, que se usa para depositar activos en las bóvedas basadas en Uniswap V3, SushiSwap V3, PancakeSwap v3 y Biswap v3. El contrato no verificaba si la lista de valores enviada por el usuario contenía una entrada para cada token de la bóveda.
En una bóveda con dos activos, un atacante podía enviar un solo valor. El contrato calculaba entonces incorrectamente el patrimonio existente usando solo el primer token e ignorando el segundo. Cuando la mayor parte de la liquidez estaba concentrada en ese activo ignorado, un depósito pequeño recibía una proporción desmesurada de las acciones de la bóveda.
Poco después, el atacante ejecutaba un retiro y recibía la parte correspondiente de ambos tokens. En una reproducción realizada por el equipo en una bifurcación de Polygon, un depósito de 10 USDC generó el 66,84 % de las acciones de una bóveda y permitió retirar casi 48,6 mil USDT0, además de recuperar prácticamente todo el USDC inicial.
ACryptoS afirmó que no hubo manipulación del precio de los pools.
📋 Resumen
Una falla en las bóvedas de liquidez concentrada de ACryptoS permitió que 135 direcciones retiraran alrededor de US$ 665 mil en cinco redes. El protocolo bloqueó los nuevos depósitos, mantuvo abiertos los retiros y anunció que dejará de operar. Los usuarios que aún estén expuestos deben retirar los fondos directamente a través de los canales oficiales.
ACryptoS anunció el cierre de sus operaciones después de que una falla en las bóvedas de liquidez concentrada permitiera retirar aproximadamente US$ 665 mil. El ataque afectó a 77 de las 126 bóvedas distribuidas entre Arbitrum, BNB Chain, Polygon, Base y Optimism durante el 8 de noviembre.
Según el análisis post mortem publicado por la propia ACryptoS, todas las bóvedas afectadas comenzaron a rechazar nuevos depósitos a las 16:40 UTC. Los retiros siguen disponibles, pero el equipo afirmó que no tiene intención de corregir el problema ni volver a abrir el producto. La recomendación oficial es que los usuarios retiren los activos restantes.
La falla permitió crear demasiadas acciones de las bóvedas
El problema estaba en la función depositMulti, que se usa para depositar activos en las bóvedas basadas en Uniswap V3, SushiSwap V3, PancakeSwap v3 y Biswap v3. El contrato no verificaba si la lista de valores enviada por el usuario contenía una entrada para cada token de la bóveda.
En una bóveda con dos activos, un atacante podía enviar un solo valor. El contrato calculaba entonces incorrectamente el patrimonio existente usando solo el primer token e ignorando el segundo. Cuando la mayor parte de la liquidez estaba concentrada en ese activo ignorado, un depósito pequeño recibía una proporción desmesurada de las acciones de la bóveda.
Poco después, el atacante ejecutaba un retiro y recibía la parte correspondiente de ambos tokens. En una reproducción realizada por el equipo en una bifurcación de Polygon, un depósito de 10 USDC generó el 66,84 % de las acciones de una bóveda y permitió retirar casi 48,6 mil USDT0, además de recuperar prácticamente todo el USDC inicial.
ACryptoS afirmó que no hubo manipulación del precio de los pools.